Skip to content
Mbox Viewer

SPF, DKIM e DMARC

SPF · DKIM · DMARC

Os três mecanismos que estabelecem se uma mensagem veio mesmo do domínio que diz: o SPF autoriza servidores de envio, o DKIM assina a mensagem criptograficamente e o DMARC amarra os dois a uma política publicada.

O SPF (Sender Policy Framework) é um registro DNS que lista quais servidores podem enviar e-mail por um domínio; o servidor receptor confere o endereço que se conecta contra essa lista. O DKIM (DomainKeys Identified Mail) vai além: o domínio remetente assina o corpo e um conjunto escolhido de cabeçalhos com uma chave privada e acrescenta um cabeçalho DKIM-Signature, que qualquer um pode verificar contra a chave pública publicada no DNS. O DMARC fica por cima: diz aos receptores o que fazer quando essas checagens falham e exige que o domínio autenticado corresponda ao endereço From: visível.

Numa caixa arquivada, o rastro prático disso tudo é o cabeçalho Authentication-Results, escrito pelo servidor receptor no momento da entrega. Ele registra o veredicto alcançado naquele instante — pass, fail ou none —, que é justamente a graça: guarda o que se sabia quando a mensagem chegou.

Uma assinatura DKIM pode, em princípio, ser reverificada anos depois, mas só enquanto o domínio ainda publicar a chave pública correspondente, e os operadores trocam essas chaves rotineiramente. Portanto, uma assinatura que já não verifica não é prova de adulteração: muitas vezes é só uma chave expirada. Essa nuance importa sempre que e-mail arquivado é apresentado como prova de alguma coisa.

Termos relacionados

Leia seus arquivos MBOX no Mac e no Windows